CVE-2020-8897
Təsvir
Java, Python, C və Javascript üçün AWS Encryption SDK-larının 2.0.0 versiyasından əvvəlki versiyalarında zəif dözümlülük boşluğu mövcuddur. SDK-lar tərəfindən mesajları şifrələmək üçün istifadə olunan AES-GCM-in (və digər AEAD şifrələri kimi AES-GCM-SIV və ya (X)ChaCha20Poly1305) öhdəlik altına almama (non-committing) xüsusiyyətinə görə, hücumçu çox sayda fərqli nəticə ilə dekripsiya oluna bilən unikal şifrəli mətn hazırlaya bilər ki, bu da xüsusilə çoxsaylı alıcıların olduğu mühitlərdə aktualdır. İstifadəçilərə SDK-larını 2.0.0 və ya daha yeni versiyaya yeniləməkləri tövsiyə olunur.
Necə düzəltmək olar
- amazon aws_encryption_sdk2.0.0 və ya daha yeni versiya
- com.amazonaws:aws-encryption-sdk-java2.0.0 və ya daha yeni versiya
- aws-encryption-sdk2.0.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| amazon aws_encryption_sdk | v < 2.0.0 | 2.0.0 |
| com.amazonaws:aws-encryption-sdk-javaMaven | v < 2.0.0 | 2.0.0 |
| aws-encryption-sdkPyPI | v < 2.0.0 | 2.0.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.